Il port scanning è una tecnica utilizzata per verificare quali porte di rete risultano raggiungibili su un host e come rispondono ai tentativi di connessione. È un’attività legittima e comune nelle verifiche di sicurezza, nell’inventario dei servizi esposti e nel troubleshooting; allo stesso tempo può essere impiegata nella fase di ricognizione di un attacco per individuare servizi accessibili e possibili superfici di esposizione.
Una scansione non dimostra da sola la presenza di una vulnerabilità: identifica lo stato osservato di una porta e, in base alla tecnica usata, può fornire informazioni sul servizio che la utilizza. Per stabilire il rischio reale occorre correlare il risultato con configurazione, versione del servizio, segmentazione, controlli di accesso e vulnerabilità note.
Che cosa sono le porte TCP e UDP
Le porte sono identificatori numerici utilizzati dai protocolli di trasporto per indirizzare il traffico verso il corretto servizio applicativo. IANA suddivide i numeri di porta in System Ports (0-1023), User Ports (1024-49151) e Dynamic/Private Ports (49152-65535). La presenza di una porta aperta non equivale automaticamente a una falla: indica che un servizio è raggiungibile e richiede quindi una valutazione del contesto.
Quali stati può rilevare un port scanner
Gli strumenti moderni non si limitano alla distinzione aperta/chiusa. Nmap, ad esempio, descrive sei stati osservabili: open, closed, filtered, unfiltered, open|filtered e closed|filtered. Lo stato dipende anche dal punto da cui viene effettuata la scansione e dai dispositivi intermedi, come firewall e sistemi di filtraggio.
- Open: un’applicazione accetta connessioni TCP, datagrammi UDP o associazioni sul servizio analizzato.
- Closed: l’host risponde, ma non risulta presente un servizio in ascolto sulla porta.
- Filtered: un filtro di rete impedisce allo scanner di determinare con certezza se la porta sia aperta o chiusa.
- Open|filtered / closed|filtered: il comportamento osservato non consente una classificazione univoca.
Port scanning e network scanning: qual è la differenza
Il network scanning mira soprattutto a individuare host, indirizzi e dispositivi attivi in un perimetro; il port scanning approfondisce invece i singoli host per capire quali servizi risultano esposti. In un’attività di sicurezza le due fasi sono spesso complementari, ma devono essere eseguite esclusivamente su sistemi propri o per i quali esiste un’autorizzazione esplicita.
Le principali tecniche di port scanning
La tecnica scelta influenza precisione, quantità di traffico generato e capacità di distinguere gli stati delle porte. Tra le modalità più comuni rientrano:
TCP SYN scan
Verifica la risposta al tentativo iniziale di apertura di una sessione TCP senza completare necessariamente l’intera connessione.
TCP Connect scan
Utilizza la normale chiamata di connessione del sistema operativo e completa la connessione verso i servizi raggiungibili.
UDP scan
Verifica servizi basati su UDP; l’assenza di risposta non consente sempre di distinguere immediatamente tra porta aperta e filtrata.
Scansioni mirate
Specifiche su porte o servizi: utili in attività di assessment quando lo scope è definito e si vuole limitare traffico e rumore.
Nmap e i port scanner
Nmap è uno degli strumenti più diffusi per il discovery di rete e la scansione delle porte. La sua utilità non consiste solo nell’individuare porte raggiungibili, ma anche nel classificare lo stato osservato e supportare l’inventario dei servizi. I risultati vanno interpretati nel contesto della rete: la stessa porta può risultare aperta dalla LAN e filtrata da Internet.
Per attività professionali è preferibile conservare lo scope autorizzato, l’origine della scansione, data e ora, opzioni utilizzate e risultati: questi elementi permettono di confrontare le esposizioni nel tempo e verificare le remediation.
Come capire se una porta aperta è realmente rischiosa
Coerenza host
Verificare se il servizio è necessario e coerente con il ruolo dell’host.
Limitare esposizione
Limitare l’esposizione per sorgente, rete o identità quando il servizio non deve essere pubblico.
Hardening tecnico
Controllare versione, patch, configurazione, cifratura e meccanismi di autenticazione.
Correlazione CVE
Correlare il servizio con eventuali CVE o misconfiguration note.
Logging e firewall
Verificare che logging, alerting e regole firewall rendano visibili tentativi anomali.
Test di conferma
Ripetere il test dopo le remediation per confermare la riduzione dell’esposizione.
Dalla teoria alla verifica
Una scansione delle porte descrive l’esposizione osservabile; un Vulnerability Assessment consente di estendere la verifica a vulnerabilità, configurazioni e priorità di remediation.
Come difendersi dal port scanning e ridurre la superficie esposta
L’obiettivo non è rendere la rete “invisibile”, ma ridurre i servizi non necessari, limitare l’accesso a quelli indispensabili e rilevare attività anomale. Un firewall correttamente configurato è uno dei controlli fondamentali, ma deve essere integrato con segmentazione, hardening, patch management, controllo degli accessi e monitoraggio.
Servizi superflui
Chiudere o disabilitare i servizi non necessari per minimizzare i punti d'accesso.
Regole firewall
Applicare rigorose regole firewall secondo il principio del minimo privilegio.
Controllo admin
Limitare i servizi amministrativi a reti di management dedicate, VPN/ZTNA o sorgenti altamente autorizzate.
Segmentazione
Segmentare la rete per isolare i componenti critici e impedire movimenti laterali non autorizzati.
Aggiornamenti & Legacy
Aggiornare costantemente sistemi e servizi esposti, provvedendo alla rimozione di protocolli legacy obsoleti.
Log & Alert centralizzati
Centralizzare log e sistemi di alert per identificare tempestivamente pattern di ricognizione o tentativi ripetuti.
Audit periodici
Eseguire ciclicamente verifiche approfondite, sia interne che esterne, sullo stato effettivo dell’esposizione.
Protezione perimetrale
La riduzione delle porte esposte richiede policy coerenti, segmentazione e regole di filtraggio applicate sul perimetro e tra le reti interne.
Port scanning, Vulnerability Assessment e Penetration Test
Il port scanning è una tecnica di discovery. Il Vulnerability Assessment identifica e classifica vulnerabilità e configurazioni deboli su un perimetro più ampio. Il Penetration Test verifica invece, entro regole di ingaggio definite, se vulnerabilità significative possono essere sfruttate e quale impatto reale possono produrre. Sono attività complementari ma non equivalenti.
Validazione dell'impatto
Quando serve verificare la reale sfruttabilità delle vulnerabilità individuate, il passo successivo è un test controllato con scope e regole di ingaggio definite.
Domande frequenti
Che cos’è il port scanning?
Il port scanning è la verifica remota dello stato di una serie di porte su un host per determinare quali servizi risultano raggiungibili e come rispondono alle richieste di rete.
Una porta aperta significa che il sistema è vulnerabile?
No. Una porta aperta indica che un servizio è raggiungibile. Il rischio dipende dalla necessità del servizio, dalla configurazione, dalle patch, dai controlli di accesso e da eventuali vulnerabilità note.
Qual è la differenza tra port scanning e network scanning?
Il network scanning identifica principalmente host e dispositivi attivi; il port scanning approfondisce gli host per verificare lo stato delle porte e dei servizi esposti.
Che differenza c’è tra port scanning e Vulnerability Assessment?
Il port scanning è una tecnica di discovery. Un Vulnerability Assessment combina più verifiche per identificare e classificare vulnerabilità, servizi esposti e configurazioni deboli.
Come si riduce il rischio legato alle porte aperte?
Occorre eliminare i servizi non necessari, limitare quelli indispensabili con firewall e segmentazione, applicare patch e hardening e monitorare i log per rilevare attività anomale.
Il port scanning è sempre lecito?
No. Le scansioni devono essere eseguite su sistemi propri o all’interno di un perimetro per il quale esiste un’autorizzazione esplicita e uno scope definito.